- Son 7 gün
- CWE-88
CVE-2026-50056
Zimbra Collaboration Suite'te zmmailboxdmgr JVM argüman enjeksiyonu yerel yetki yükseltmeye yol açıyor
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- rapid7
ÖzetTürkçe
Zimbra Collaboration Suite (ZCS) içindeki zmmailboxdmgr başlatıcısında bulunan yerel yetki yükseltme güvenlik açığı, Unix zimbra hesabının root olarak keyfi komutlar çalıştırmasına olanak tanır. Parolasız sudo arayüzü, yeterince kısıtlanmamış JVM argümanlarını kabul etmektedir. Bir saldırgan, Jetty'nin yetki düşürme işlemini erteleyebilir, bir OnOutOfMemoryError komutu kaydedebilir ve başlatma sırasında yığın belleğini tüketerek komutun JVM hâlâ root olarak çalışırken yürütülmesine neden olabilir. Sömürü, bir posta kutusu sunucusunda zimbra olarak yerel komut çalıştırmayı gerektirir ve kötü amaçlı yeniden başlatma sırasında mailboxd hizmetini kesintiye uğratır. ZCS 10.1.16 ve 10.1.21 sürümleri etkilenmektedir. CVSS vektörü: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, skor: 7.8 (YÜKSEK).
Kaynaktaki açıklama (İngilizce)
A local privilege escalation vulnerability in the zmmailboxdmgr launcher of Zimbra Collaboration Suite (ZCS) allows the Unix zimbra account to execute arbitrary commands as root. The passwordless sudo interface accepts JVM arguments that are not adequately restricted. An attacker can postpone Jetty's privilege drop, register an OnOutOfMemoryError command and force heap exhaustion during startup, causing the command to execute while the JVM still runs as root. Exploitation requires local command execution as zimbra on a mailbox server and interrupts mailboxd during the malicious restart. ZCS 10.1.16 and 10.1.21 are affected.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zimbra Collaboration Suite | ≤ 10.1.21 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.